SPDT/sapl: Sistema de Apoio ao Processo Legislativo - sapl

Sistema de Apoio ao Processo Legislativo

Edward Ribeiro f84a020c15 Sanitiza HTML/JavaScript nos campos TextField (stored XSS) Os ~71 campos models.TextField do SAPL guardavam texto livre sem nenhuma sanitização, e a renderização os tratava como HTML confiável em 142 pontos (\|safe, {% autoescape off %}). Qualquer usuário com permissão de edição conseguia gravar <script> num campo e executá-lo no navegador de quem abrisse a tela, inclusive nas páginas públicas (acompanhamento de matéria, perfil público de parlamentar, resumo de sessão). Duas camadas, ambas usando a mesma função idempotente para que não se acumulem: - Entrada: receiver pre_save global em sapl/base/receivers.py, cobrindo forms, a API do drfautoapi, o admin e o shell num único ponto. - Saída: get_field_display() em sapl/crispy_layout_mixin.py — que monta o HTML de todo TextField para as telas de list/detail do CRUD — mais o novo filtro \|sanitize nos templates. Protege as linhas gravadas antes desta mudança, já que não há backfill. Políticas por campo, em sapl/sanitize.py: - plain (padrão): remove toda a marcação e preserva o texto. - rich: allowlist para os campos editados no TinyMCE (conteúdo de expediente, ocorrências, considerações finais e texto de dispositivo). Links continuam funcionando, com target e o alinhamento do editor preservados; javascript:, data:, on* e <script> são descartados. - exempt: LexmlProvedor.xml e TipoTextoArticulado.rodape_global, que não são HTML. Corrige também cinco \|safe dentro de <textarea>, onde </textarea><script> escapava do contexto, e cinco \|striptags\|safe — a documentação do Django avisa que striptags não garante HTML seguro. Sem migração de dados: as linhas existentes são neutralizadas na renderização e limpas quando o registro for salvo de novo. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>		3 days ago
..
assinaturas.html	fix: padroniza nome_parlamentar para lista de presenca e votacoes nominais no resumo da ata (#3687)	3 years ago
consideracoes_finais.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	3 days ago
conteudo_multimidia.html	Adiciona extrato ao menu resumo da Sessão (#2191)	8 years ago
correspondencias.html	fix: corrige espacamento no resumo da ata (#3681)	3 years ago
expedientes.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	3 days ago
identificacao_basica.html	fix: corrige espacamento no resumo da ata (#3681)	3 years ago
lista_presenca_ordem_dia.html	fix: corrige espacamento no resumo da ata (#3681)	3 years ago
lista_presenca_sessao.html	fix: corrige espacamento no resumo da ata (#3681)	3 years ago
materias_expediente.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	3 days ago
materias_ordem_dia.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	3 days ago
mesa_diretora.html	Altera nome completo para nome parlamentar em ata (#3645)	3 years ago
ocorrencias_da_sessao.html	Sanitiza HTML/JavaScript nos campos TextField (stored XSS)	3 days ago
oradores_expediente.html	fix: corrige espacamento no resumo da ata (#3681)	3 years ago
oradores_explicacoes.html	fix: corrige espacamento no resumo da ata (#3681)	3 years ago
oradores_ordemdia.html	fix: corrige espacamento no resumo da ata (#3681)	3 years ago
votos_nominais_materias_expediente.html	fix #2574 (#2575)	8 years ago
votos_nominais_materias_ordem_dia.html	fix #2574 (#2575)	8 years ago